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(57) Abstract: The invention relates to a method of managing the display of event specifications with conditional access, in order, 
for example, to display an electronic programme guide for pay television. The inventive method comprises the following steps: (a) 
data forming an electronic programme guide (EPG) are sent to a decoder (STB), said data containing, for each event, at least one 
identifier, textual data and a conditional package comprising the conditions required in order to access the aforementioned event; 
(b) at least one authorisation message (EMM) is sent to a security module (SC) which is associated with the decoder, said message 
defining the event access rights; (c) the conditional package (PECM) is sent to the security module (SC); (d) the access condition 
contained in the conditional package (PECM) is processed in the security module; and (e) a message is sent by the security module, 
which, depending on the access condition for each event and on the access rights contained in the security module, indicates whether 
or not the right is present for each event in the security module. The method can be used to manage structured language queries as 
well as enabling the management of complex access conditions. 
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(57) Abrege : Uinvention a pour objet de gerer Taffichage de descriptifs d'evenements a acces conditionnel, notamment pour af- 
ficher un guide electronique de programmes pour la television a peage. Ce but est atteint par un proceed comportant les etapes 
suivantes; a) envoi de donnees formant un guide electro nique de programmes (EPG), a un decodeur (STB), ces donnees comportent, 
pour chaque evenement, au moins un identifiant, des donnees textuelles et un bloc conditionnel comprenant les conditions requises 
pour ('acces a cet evenement, b) envoi d'au moins un message d'autorisation (EMM) a un module de security (SC) associe" au de- 
codeur, ce message d6finissant des droits d' acces a un evenement, c) envoi audit module de securite* (SC), du bloc conditionnel 
(PECM), d) traitement, dans le module de security de la condition d'acces contenue dans ledit bloc conditionnel (PECM), et e) 
renvoi par le module de securite d'un message indiquant, en fonction de la condition d'acces pour chaque Evenement et des droits 
d'acces contenus dans le module de security, si le droit est present ou non pour chaque evenement dans le module de security. Ce 
proc&16 permet de gerer des requetes en langage structure et rend possible la gestion de conditions d'acces complexes. 
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PROCEDE DE GE5TION DE L'AFFICHAGE DE DESCRIPTIFS 
D'EVENEMENTS A ACCES CONDITIONNEL 

La presente invention concerne un procede de gestion de Paffichage de 
descriptifs d'evenements a acces conditionnel, en particulier pour la 
s television a peage. 

Dans les systemes a acces conditionnel, en particulier dans le domaine de 
la t6levision numerique a peage, un flux de donnees numeriques est 
transmis vers le televiseur. Ce flux est chiffre afin de pouvoir en controler 
I'utilisation et de definir des conditions pour une telle utilisation. Ce 
10 chiffrement est realise grace a des mots de contrdle (Control Words) qui 
sont changes a intervalle regulier (typiquement entre 5 et 30 secondes) afin 
de dissuader toute attaque visant a retrouver un tel mot de controle. 

Pour que le recepteur puisse dechiffrer le flux chiffre par ces mots de 
controle, ces derniers lui sont envoyes independamment du flux dans des 

is messages de controle (ECM) chiffres par une cle propre au systeme de 
transmission entre un centre de gestion et un module de securite de ('unite 
d'utilisateur. En effet, les operations de securite sont effectuees dans un 
module de securite (SC) qui est generalement realise sous la forme d'une 
carte a puce, reputee inviolable. Ce module peut etre soit de type amovible 

20 soit directement integre au recepteur. 

Lors du dechiffrement d'un message de contrdle (ECM), il est verifie, dans 
le module de securite (SC), que le droit pour acceder au flux considere est 
present. Ce droit peut etre gere par des messages d'autorisation (EMM) 
qui chargent un tel droit dans le module de securite. D'autres possibilites 
25 sont egalement envisageables telles que renvoi de cles de dechiffrement. 

Pour la suite de I'expose, on appellera "evenement" un contenu video, 
audio (par exemple MP3) ou donnees (programme de jeu par exemple) qui 
est chiffre selon la methode connue des mots de controle, chaque 
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evenement pouvant etre chiffre par un ou plusieurs mots de controle, 
chacun ayant une duree de validite determinee. 

La comptabilisation de I'utilisation de tels evenements est aujourd'hui 
basee sur le principe de I'abonnement, de I'achat d'evenements ou du 
5 paiement par unite de temps. 

L'abonnement permet de definir un droit associe a un ou des canaux de 
diffusion transmettant ces evenements et permet a I'utilisateur d'obtenir ces 
canaux en clair si le droit est present dans son module de securite. 

Parallelement, il est possible de definir des droits propres a un evenement, 
10 tel qu'un film ou un match de football. L'utilisateur peut acquerir ce droit 
(achat par exemple) et cet evenement sera speciflquement gere par ce 
droit. Cette methode est connue sous I'appellation "pay-per-view" (PPV). 

Un message de contrdle (ECM) ne contient pas uniquement le mot de 
controle, mais egalement les conditions pour que ce mot soit renvoye au 
is recepteur/decodeur. Lors du dechiffrement des mots de controle, il sera 
verifie si un droit associe aux conditions d'acces enoncees dans le 
message est present dans le module de securite. 

Le mot de contrdle n'est retourne a I'unite d'utilisateur que lorsque la 
comparaison est positive. Ce mot de contrdle est contenu dans un 
20 message de controle ECM qui est chiffre par une cle de transmission. 

Pour que le droit soit present dans le module de securite, il est 
generalement charge dans ce module par un message d'autorisation 
(EMM) qui, pour des raisons de securite, est generalement chiffre par une 
cle differente dite cle de droit (RK). 

25 Selon une forme connue de diffusion de television a peage, les trois 
elements suivants sont necessaires pour dechiffrer un evenement a un 
moment donne: 

- les donnees relatives a I'evenement chiffte par un ou une pluralite de 
mots de controle (CW), 
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- le ou les messages de contrdle ECM contenant les mots de contrdle 
(CW) et les conditions d'acces (AC) 

- le droit correspondant stocke dans le module de securite permettant 
de verifier les dites conditions d'acces. 

5 Lorsque Ton souhaite rendre visible a un utilisateur, la liste des canaux ou 
services ou des evenements auxquels il a acces, de meme que ceux pour 
lesquels il peut se procurer les droits, les principes decrits ci-dessus sont 
egalement utilises. Pour ceci, on utilise un guide electronique (EPG = 
Electronic Program Guide) et Ton affiche, par exemple en vert, les 

10 evenements ou canaux pour lesquels les droits sont deja acquis et en 
rouge ceux pour lesquels les droits ne sont pas acquis. 

Lorsque la caracterisation des droits est simple, par exemple lorsque 
I'utilisateur est abonne a certains services predefinis pour une duree de 
validite determinee, il est aise de generer un EPG qui tienne compte de ces 
15 droits. Par contre, lorsque Ton souhaite gerer des droits plus complexes, 
realiser des offres promotionnelles ou utiliser des conditions qui n'ont pas 
ete prevues dans I'abonnement, les systemes actuels ne permettent pas 
de gerer facilement ces elements. 

La demande international e de brevet WO 97/42762 decrit un systeme 
20 d'acces a des informations, qui peut etre utilise notamment dans le 
domaine de la television a peage. Dans ce systeme, des messages 
d'autorisations sont envoyes aux decodeurs des utilisateurs. Ces 
messages contiennent, de facon conventionnelle, les droits d'acces aux 
evenements de television a peage. lis contiennent en outre des pointeurs 
25 qui indiquent un emplacement permettant d'obtenir des informations 
additionnelles. Ces informations additionnelles peuvent etre en particulier 
des informations en clair concernant les evenements eux-memes ou des 
logiciels. Ces informations sont liees au decodeur et sont generalement 
accessibles sans dechiffrement. Elles ne sont pas contenues dans les 
30 messages d'autorisation. Ce systeme ne permet pas de gerer les aspects 
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de securite lies aux donnees complementaires et ne permet pas de gerer 
des conditions d'acces variables en fonction des droits existants pour 
chaque utilisateur, ces conditions d'acces devant par principe etre 
securisees. 

5 La presente invention se propose de pallier les inconvenients des 
dispositifs de I'art anterieur en realisant un dispositif dans lequel il est 
possible de gerer des droits complexes en offrant done une grande 
souplesse d'utilisation a un diffuseur. 

Ce but est atteint par un procede de gestion de I'affichage de descriptifs 
10 d'evenements a acces conditionnel, comportant les etapes suivantes: 

- envoi de donnees formant un guide electronique de programmes 
(EPG), a un decodeur (STB), ce guide electronique etant destine a 
I'affichage des evenements qui seront diffuses, ces donnees 
comportent, pour chaque evenement, au moins un identifiant, des 

15 donnees textuelles et un bloc conditionnel comprenant les conditions 

requises pour I'acces a cet evenement, 

- envoi d'au moins un message d'autorisation (EMM) a un module de 
securite (SC) associe au decodeur, ce message definissant des 
droits d'acces a un evenement; 

20 caracterise en ce que le procede comporte en outre les etapes suivantes: 

- envoi audit module de securite (SC), du bloc conditionnel (PECM), 

- traitement, dans le module de securite, de la condition d'acces 
contenue dans ledit bloc conditionnel (PECM), et 

- renvoi par le module de securite d'un message indiquant, en fonction 
25 de la condition d'acces pour chaque evenement et des droits d'acces 

contenus dans le module de securite, si le droit est present ou non 
pour chaque evenement dans le module de securite. 
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La presente invention et ses avantages seront mieux compns en reference 
a la description d'un mode de realisation particulier et aux dessins 
annexes, dans lesquels : 

- la figure 1 illustre schematiquement un mode de realisation d'un 
5 guide electronique EPG selon Tart anterieur; 

- la figure 2 illustre schematiquement le contenu d'un message de 
controle ECM utilise dans le mode de realisation de la figure 1; 

- la figure 3 illustre le contenu d'un message de controle ECM selon la 
presente invention; 

io - la figure 4 illustre le contenu d'un bloc conditionnel utilise dans le 
systeme selon Pinvention; et 

- la figure 5 represente un mode de realisation d'un guide electronique 
EPG selon I'invention. 

Les figures 1 et 2 decrivent des systemes connus de I'art anterieur. Dans 
15 ces systemes, les donnees composant le guide electronique de 
programme EPG sont transmises par un canal de service et se composent 
d'informations horaires et textuelles, telles que notamment le titre de 
I'evenement, un descriptif et eventuellement des commentaires. Les 
donnees de I'EPG contiennent egalement le service auquel cet evenement 
20 est rattache en terme de droit d'acces, les services etant references par 
exemple de S1 a S48. 

Parallelement, I'evenement diffuse est accompagne par les messages de 
controle ECM qui contiennent un certain nombre de champs predefinis, 
portant les references 11 a 14 sur la figure 2, tels que notamment 
25 I'identifiant de I'evenement (champ 13), le service auquel il est rattache 
(champ 14), le mot de contrdle CW (champ 11), I'heure et la date de 
diffusion (champ 12) et eventuellement, un credit associe a I'evenement. 
Grace a cette structure predefinie par des champs, la structure du 
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message est definie de telle sorte que par exemple dans le champ 14, Ton 
va toujours trouver le numero d'un service SID. 

Ce service est Initialise par un message d'autorisation EMM qui a pour but 
de definir un bloc d'abonnement dans le module de securite SC, ce bloc 
5 contenant entre autre la duree de validite de ce service. 

Pour afficher le guide electronique EPG sur le televiseur d'un utilisateur, le 
decodeur STB lit les droits contenus dans le module de securite SC c'est- 
a-dire les blocs definis plus haut. Plus precisement, il determine, d'apres 
ces droits, la liste des services disponibles ainsi que la duree ou la date de 
10 validite de chaque service. Le decodeur dispose done d'une part d'une 
base de donnees provenant du module de securite et contenant la liste des 
services disponibles avec leur duree de validite et d'autre part, d'une base 
de donnees destinees a I'EPG, qui contient la liste des evenements, le 
service auquel il est rattache et la date de diffusion. 

is Pour chaque evenement, le decodeur peut done verifier si le module de 
securite dispose du droit pour le service considere et si ce droit sera valide 
au moment de la diffusion de I'evenement. En fonction de la reponse de 
cette comparaison, I'evenement sera affiche dans I'EPG, par exemple en 
rouge si le droit n'est pas acquis et en vert si ce droit est acquis et done 

20 present dans le module de securite. 

Sur la figure 1 , un "Yes" est affiche dans la derniere colonne de I'EPG en 
regard de I'evenement considere si le droit pour cet evenement est acquis 
et un "No" dans le cas contraire. 

Au moment de la diffusion d'un evenement, les messages de controle 
25 ECM, contenant des mots de contrdle CW et associes a cet evenement, 
sont traites dans le module de securite de facon a verifier I'existence de 
droits associes a cet evenement. Si les droits sont presents, chaque 
message de contrdle ECM est traite de facon a en extraire les mots de 
controle CW qu'il contient. Ce mot de contrdle est alors envoye au 
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decodeur qui dechiffre alors les donnees qui ont ete chiffrees avec ce mot 
de controle specifique. 

Ce mode de realisation fonctionne parfaitement lorsque les conditions sont 
simples, par exemple lorsqu'un utilisateur est abonne a un bouquet de 
5 services. Dans ce cas, le decodeur compare le contenu de champs 
predefinis dans les informations composants I'EPG avec le contenu de la 
memoire du module de securite et obtient une reponse directement 
exploitable. 

Lorsque Ton souhaite proposer des offres promotionnelles notamment, il 
10 peut etre necessaire de definir des conditions complexes, pour lesquelles 
une structure fixe predefinie de champs ne se revele pas adaptee. Un 
exemple d'une telle offre promotionnelle consiste a permettre un acces 
libre a un bouquet de canaux, le jour anniversaire de chaque abonne. Avec 
un systeme conventionnel, une telle offre peut etre proposee, mais au prix 
15 d'une grande complexity. En effet, pour permettre ceci, il est necessaire de 
creer des droits supplementaires, plus precisement 365 blocs 
d'abonnement, correspondant chacun a un jour de I'annee. Ces droits sont 
geres comme les autres droits, ce qui signifie qu'ils sont transmis par des 
messages d'autorisation EMM. Ces messages doivent etre envoyes de 
20 fagon repetitive a tous les beneficiaires, de fagon a s'assurer que ceux-ci 
ont bien recu les droits. 

A la reception de ce message, un nouveau bloc d'abonnement sera cree 
dans le module de securite pour cette seule utilisation. II est a noter que 
ces messages vont accaparer de la bande passante et des moyens 
25 cryptographiques en particulier du fait que le niveau de chiffrement de ces 
messages est eleve. 

Un autre exemple d'offre promotionnelle consiste a facturer un evenement 
donne selon plusieurs montants differents en fonction du type 
d'abonnement souscrit. Le titulaire d'un abonnement portant sur des 
30 chaTnes thematiques sportives peut par exemple payer un match de 
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football a un prix determine, alors que les personnes n'ayant pas ce type 
d'abonnement doivent payer un autre montant pour ce meme match. Dans 
I'etat actuel, il n'est pas possible de gerer ce type de regies parce que 
I'ldentification de I'evenement est rigoureusement identique pour tous les 
5 utilisateurs, alors que les conditions d'acces a cet evenement dependent 
de I'evenement et des parametres propres a un utilisateur. 

Aujourd'hui, selon I'etat de la technique, la solution consisterait a envoyer 
un message d'autorisation EMM propre a chaque utilisateur avec le 
montant de I'evenement compte tenu de ses conditions propres. On 
10 imagine aisement le nombre de messages a transmettre pour satisfaire 
tous les utilisateurs. 

De fagon plus generate, pour pouvoir appliquer des conditions particulieres 
pour un evenement particulier, il est necessaire d'avoir prevu ces 
conditions par avance dans I'abonnement des utilisateurs concernes. Si tel 
15 n'est pas le cas, la gestion des cas particuliers peut se reveler difficile voire 
impossible. Dans tous les cas, pour generer des droits particuliers sur le 
module de securite, il est necessaire d'envoyer des messages 
d'autorisation EMM, a une frequence suffisante pour s'assurer que la 
majorite des utilisateurs a bien regu les droits qui lui sont destines. 

20 Ce mode de realisation est peu commode du fait qu'il encombre la 
memoire de fagon importante et que le trafic des messages d'autorisation 
EMM utilise inutilement la bande passante disponible. 

Dans la figure 3 qui decrit un mode de realisation de I'invention, le 
message de controle ECM contient non plus une donnee a un 
25 emplacement predefini, mais une operation Op. Celle-ci est ecrite sous 
forme d'une requete, en utilisant par exemple un langage syntaxique tel 
que celui connu sous I'acronyme SQL (Structured Query Language). 

Le presente invention est particulierement avantageuse par rapport aux 
systemes connus de I'art anterieur par le fait que les conditions definies par 
30 des requetes du type SQL peuvent etre imaginees, modifiees ou utilisees 
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de facon tres souple, a n'importe quel moment. Le fait de s'affranchir de 
champs de donnees predefinis dans les messages de controle ECM ouvre 
la voie a des combinaisons auxquelles Ton n'avait pas pense lors de la 
mlse en route du systeme et qui n'etaient par consequent pas prevues 
5 dans I'abonnement des utilisateurs. 

Cette gestion simplifiee a comme consequence de permettre de proposer 
des offres tres diversifies, meme pour un groupe de personnes tres 
restreint. II est done possible de generer des offres tres ciblees collant au 
plus pres les visions marketing de I'entreprise. 

10 Lors du traitement d'un tel message de contrdle ECM, I'operation Op est 
traitee par le moteur SQL du module de securite SC et du resultat 
dependra le renvoi ou non du mot de controle CW contenu dans ce meme 
message. 

De meme que pour les messages de controle ECM, il est egalement prevu, 
15 dans le cadre de I'invention, de remplacer les champs d'un message 
d'autorisation EMM par une requete de type SQL. 

Les donnees memorisees dans le module de securite, definissant les blocs 
d'abonnement, restent inchangees, seules les operations sur ces donnees 
changent. 

20 A titre d'exemple, une requete de ce type pourrait etre : 

• Service S22 valide ou Date anniversaire = 10 octobre. 

Un autre exemple de requete complexe pour un achat impulsif pourrait 
etre : 

• Si le module de securite contient les droits pour les services S1 , S8 
25 et S12, deduire un montant de 4 USD pour I'evenement Ev 1 , sinon, 

deduire un montant de 5 USD pour cet evenement. 
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Dans ce mode de realisation, le decodeur STB n'est pas habilite a traiter 
une requete complexe en langage SQL, ceci pour des raisons de securite 
prioritairement. 

Dans le cadre de cette invention, la solution consiste a modifier des 
5 donnees transmises a I'EPG, cette modification consistant a inclure dans 
ces donnees un nouveau bloc qui est une copie partielle du message de 
controle ECM qui sera transmis avec I'evenement considere. 

Ce bloc denomme bloc conditionnel (PECM) va comprendre au moins la 
meme requete SQL que le message de controle duquel il est derive. Selon 

10 I'implementation choisie, les autres champs tels que le mot de contrdle 
pourront etre supprimes. II est clair que les messages de controle ECM 
sont transmis au moment ou I'evenement est visualise par I'utilisateur, 
puisqu'ils contiennent les mots de controle CW. Par contre, les blocs 
conditionnels doivent etre envoyes a I'avance puisqu'ils sont utilises pour 

15 former I'EPG qui permet a I'utilisateur de visualiser a I'avance, les droits 
qu'il a deja acquis et ceux qu'il peut acquerir. 

Lors de la reception de ces donnees par I'EPG, ce bloc PECM sera 
transmis au module de securite, qui lui, est capable de traiter des requetes 
complexes, notamment en langage SQL. 

20 Ce bloc PECM est illustre par la figure 4. Le module de securite traitera ce 
bloc conditionnel de facon conventionnelle et pourra en extraire la requete 
SQL. Les conditions definies dans cette requete sont analysees dans le 
module de securite et le resultat de la requete est retransmis au decodeur 
STB. Grace a ce resultat, I'EPG peut etre affiche de la facon expliquee 

25 precedemment, en reference a la description de I'art anterieur. 

Ce processus est represent© schematiquement par la figure 5. De facon 
plus detaillee, les donnees permettant de former I'EPG sont transmises au 
decodeur STB. Un bloc conditionnel PECM, contenant, sous forme de 
requete SQL, Poperation qui permet de definir les conditions d'acces, est 
30 forme puis transmis au module de securite SC. Ce module traite la requete 
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SQL. Les conditions de la requete SQL sont comparees aux droits inscrits 
dans le module de securite, ce qui permet de determiner pour quels 
evenements, les droits sont acquis ou peuvent etre acquis. Ces droits 
disponibles sont associes aux donnees de I'EPG. La liste des evenements 
est ensuite affichee sur le televiseur de I'utilisateur, en distinguant, pour 
chaque evenement si le module de securite dispose des droits ou non. 
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PCT/IB2003/005654 



1 . Procede de gestion de I'affichage de descriptifs d'evenements a acces 
conditionnel, comportant les stapes suivantes: 

- envoi de donnees formant un guide electronique de programmes 
(EPG), a un decodeur (STB), ce guide electronique etant destine a 
I'affichage des evenements qui seront diffuses, ces donnees 
comportent, pour chaque evenement, au moins un identifiant, des 
donnees textuelles et un bloc conditionnel comprenant les conditions 
requises pour I'acces a cet evenement, 

- envoi d'au moins un message d'autorisation (EMM) a un module de 
securite (SC) associe au decodeur, ce message defmissant des 
droits d'acces a un evenement; 

caracterise en ce que le procede comporte en outre les etapes suivantes: 

- envoi audit module de securite (SC), du bloc conditionnel (PECM), 

- traitement, dans le module de securite, de la condition d'acces 
contenue dans ledit bloc conditionnel (PECM), et 

- renvoi par le module de securite d'un message indiquant, en fonction 
de la condition d'acces pour chaque evenement et des droits d'acces 
contenus dans le module de securite, si le droit est present ou non 
pour chaque evenement dans le module de securite, 

et en ce que la condition d'acces contenue dans le bloc conditionnel 
(PECM) est exprimee sous la forme d'une operation (Op) decrite par une 
requete en un langage structure. 

♦ 

2. Procede de gestion selon la revendication 1 , caracterise en ce que la 
requete est ecrite en langage SQL (Structured Query Language). 

3. Procede de gestion selon la revendication 1, caracterise en ce qu'un 
evenement est chiffre par au moins un mot de controle (CW), ces mots de 
contrdle (CW) sont transmis au decodeur (STB) sous la forme d'un 
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message de contrdle (ECM) chiffre comprenant egalement les conditions 
d'acces, ce procede consistant a transmettre dans le bloc de conditionnel 
(PECM) tout ou partie du message de controle (ECM). 

4. Procede de gestion selon la revendication 3, caracterise en ce que le 
bloc conditionnel (PECM) comprend uniquement les donnees relatives aux 
conditions d'acces contenues dans le message de contrdle (ECM). 

5. Procede de gestion selon la revendication 4, caracterise en ce que 
lesdites donnees relatives aux conditions d'acces sont envoyees sous 
forme chiffree dans le bloc conditionnel (PECM). 

6. Procede de gestion selon la revendication 4, caracterise en ce que 
lesdites donnees relatives aux conditions d'acces sont en clair dans le bloc 
conditionnel (PECM). 
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